Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-94

CVE-2025-32432

Craft CMS'te kimlik doğrulamasız uzaktan kod çalıştırma açığı

craftcms cmscraftcms Craft Cms

Kritik 10,0 CVSS 3.1
Yayımlandı
Güncellendi
24 Eyl 2026
Açık yaşı
551 gün
Kaydı açan
GitHub_M
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 20 Mar 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 3 Nis 2026.

Yönetici özeti

Craft CMS kullanan web siteleri, dışarıdan herhangi biri tarafından tamamen ele geçirilebilecek kritik bir güvenlik açığı taşıyor. Açık fiilen istismar edildiği için durum acildir. Güncelleme gecikmeden yapılmalıdır.

ÖzetTürkçe

Craft CMS'te, kod enjeksiyonu (CWE-94) kaynaklı bir uzaktan kod çalıştırma zafiyeti bulunuyor. Açık 3.0.0-RC1 ile 3.9.15 öncesi, 4.0.0-RC1 ile 4.14.15 öncesi ve 5.0.0-RC1 ile 5.6.17 öncesi sürümleri etkiliyor. Saldırı düşük karmaşıklıktadır ve ağ üzerinden, kimlik doğrulaması ve kullanıcı etkileşimi olmadan yapılabilir. Zafiyet, CVE-2023-41892 için yapılmış ek bir düzeltmedir ve CISA tarafından aktif olarak istismar edilen açıklar listesine (KEV) eklenmiştir.

Saldırgan ne yapabilir?

Saldırgan, etkilenen sunucuda kendi kodunu çalıştırarak siteyi ve verileri tamamen ele geçirebilir. Bu durum veri sızıntısına, içerik değişikliğine ve hizmet aksamasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

Craft is a flexible, user-friendly CMS for creating custom digital experiences on the web and beyond. Starting from version 3.0.0-RC1 to before 3.9.15, 4.0.0-RC1 to before 4.14.15, and 5.0.0-RC1 to before 5.6.17, Craft is vulnerable to remote code execution. This is a high-impact, low-complexity attack vector. This issue has been patched in versions 3.9.15, 4.14.15, and 5.6.17, and is an additional fix for CVE-2023-41892.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. Craft CMS'i yamalı sürüme yükseltin: 3.x kullanıyorsanız 3.9.15, 4.x kullanıyorsanız 4.14.15, 5.x kullanıyorsanız 5.6.17 veya daha yeni bir sürüme geçin. Genel öneri
  2. CISA yönergesine uygun olarak üretici talimatlarındaki önlemleri uygulayın; önlemler uygulanamıyorsa ürünün kullanımını durdurun. CISA
  3. Güncelleme hemen yapılamıyorsa siteye internetten erişimi geçici olarak kısıtlayın (örneğin erişimi güvenilir IP'lerle sınırlayın veya siteyi bakım moduna alın). Genel öneri
  4. Güncellemeden sonra sunucuyu olası ele geçirilme belirtileri açısından inceleyin: beklenmeyen dosyalar, yeni yönetici hesapları ve olağan dışı süreçler. Genel öneri

Ek önlemler

  • Web sunucusu ve uygulama günlüklerinde şüpheli istekleri ve beklenmeyen hata kayıtlarını izleyin. Genel öneri
  • Web uygulamasını en az yetkiye sahip bir kullanıcıyla çalıştırın ve dosya sistemi yazma izinlerini gerektiği kadarıyla sınırlayın. Genel öneri
  • Web uygulaması güvenlik duvarı (WAF) kullanarak bilinen saldırı kalıplarını engelleyin. Genel öneri
  • Sistemi düzenli yedekleyin ve yedeklerin çevrimdışı ya da ayrı bir ortamda saklandığından emin olun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler2 yazılım

YazılımEtkilenenDüzeltildiği sürüm
craftcms cms Sürüm belirtilmemiş –
craftcms Craft Cms ≥ 3.0.0, < 3.9.15 3.9.15
≥ 4.0.0, < 4.14.15 4.14.15
≥ 5.0.0, < 5.6.17 5.6.17

Kaynaklar10 kaynak

Kayıt geçmişi

  1. Etkilenen sürüm bilgisi güncellendi
  2. Yama ya da düzeltilmiş sürüm çıktı
  3. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  4. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.